SANS TOP 25以外のセキュリティ対策ガイドラインとしてオーストラリア政府のセキュリティ対策ガイドラインを紹介します。
備考：このエントリのみ読んだ方向けです。ISO27000では緩和策はセキュリティ対策のサブセットととして明確に定義されています。
Top 35 Mitigation Strategies
オーストラリア政府はTop 35 Mitigation Strategies （トップ35の緩和策戦略）として35のセキュリティ対策を公開しています。その第一位は
Application whitelisting of permitted/trusted programs, to prevent execution of malicious or unapproved programs including DLL files, scripts and installers.
訳すと以下のような感じになると思います。
不正または承認されていないDDLファイル、スクリプトやインストーラーなどを含むプログラムの実行を防止するため、アプリケーションホワイトリスティングによる許可・信頼できるプログラムのみを実行する。
利用するプログラムをホワイトリスト方式で許可するセキュリティ対策（緩和策）を最初のセキュリティ対策として挙げています。これも境界防御の一種です。
プログラマが認識すべきリスク
Top 35 Mitigation Strategiesはプログラマ向けのセキュリティガイドラインではありませんが、参考になります。最近はソーシャルコーディングということで、気軽にインターネット上からコードやライブラリ、アプリケーションをダウンロードして利用する事が多いと思います。
Top 35 Mitigation Strategiesに限らず、SANS TOP 25やISO 27000でも利用するプログラム、特にインターネットからダウンロードして利用するプログラムに関するリスクを認識し対処すべき、としています。
実践する事は非常に難しいとは思いますが、プログラマや開発会社はTop 35 Mitigation Strategiesの#1のセキュリティ対策をリスクとして明確に認識すべきです。
不正または承認されていないDDLファイル、スクリプトやインストーラーなどを含むプログラムの実行を防止するため、アプリケーションホワイトリスティングによる許可・信頼できるプログラムのみを実行する。
知らないライブラリやコードはざっとでも良いので、中身を確認してから実行・利用すべきです。それでは業務が回らない、という場合は弊社のようなソースコード検査を行っている会社に相談すると良いと思います。
参考
追記：
このTOP 35の緩和策はNPAのサイトにもセキュリティ対策として紹介されています。新しい版に対応していないのでリンク切れです。新しい版（PDF／HTML）のリンクは上記で紹介しているURLから参照できます。
Leave a Comment